[단독방어] 분석 — CVE-2026-31391

• 심각도 medium · CVSS 5.5 · EPSS 0.00117 · 악용난이도 hard

Linux 커널의 crypto/atmel-sha204a 모듈에서 메모리 할당이 실패하면 ->tfm_count 가 감소되지 않아 이후 SHA‑204A 연산 시 무한 대기(Deadlock) 혹은 서비스 거부가 발생합니다. 공격자는 로컬 프로세스로 의도적으로 OOM 상황을 유발해 해당 모듈을 호출함으로써 시스템 응답성을 저하시키는 DoS를 촉발할 수 있습니다.

악용 가능성: 1. 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 평가되어, 공격자가 로컬 시스템에 접근할 수 있다면 (예: 일반 사용자 계정이나 컨테이너 내부) 별도의 복잡한 단계 없이도 악용이 가능함을 의미합니다.
2. AV:L 은 물리적·네트워크‑로컬 접근만 필요하다는

• 서비스 가용성: ->tfm_count 감소 누락으로 이후 SHA‑204A 연산이 블로킹돼 커널 스레드가 멈추어 전체 시스템 또는 해당 디바이스 드라이버가 응답하지 않을 수 있습니다.
• 시스템 안정성: 반복적인 OOM 유발 시 커널 패닉 가능성이 존재합니다(공격 성공 시 직접적인 데이터 손실은 없으나 가용성 손실이 주요 위험).

• 동일한 crypto 서브시스템에서 메모리 관리 오류가 발생하는 CVE‑2025‑xxxx (예: crypto: aesni_intel OOM 누수)와 연계될 경우, 복합적인 DoS 시나리오를 구성할 수 있습니다.
  (※ 실제 번호는 확인되지 않아 언급하지 않았습니다.)

• 로그 위치: /var/log/kern.log, dmesg, auditd (type=CONFIG_CHANGE 혹은 type=RESOURCE_FAILURE)
• 주요 필드/패턴:
  • "atmel-sha204a" 문자열 포함
  • "allocation failed" 또는 "out of memory" 메시지
  • tfm_count 변경 로그가 누락된 경우(커널 내부 디버그 로그에 한정)
• SIEM 쿼리 예시 (Elastic Kibana Lucene):
  text복사

   1(log.file.path:"/var/log/kern.log" OR log.file.path:"/var/log/audit/audit.log")
   2AND message:*atmel-sha204a*
   3AND (message:*allocation failed* OR message:*out of memory*)

• 정규식 탐지 의사코드:
  text복사

   1/atmel\-sha204a.*(allocation|out of) failed/

• 오탐 시나리오 및 튜닝:
  • 정상적인 메모리 부족 상황에서도 동일 로그가 발생할 수 있음 → process.name이 sha204a_test 등 테스트 프로세스인 경우 제외(NOT process.name:"*test*").
  • 빈번한 OOM 이벤트가 시스템 부하에 의해 자연스럽게 발생한다면, 발생 빈도 임계값(예: 5분 내 동일 패턴 ≥3회)으로 알림을 제한.

1. 메모리 할당 제한 강화
   • /proc/sys/vm/overcommit_memory 를 2 로 설정해 과다 할당을 방지하고 OOM 발생 가능성을 낮춤.
2. 커널 파라미터 재조정
   • 부팅 시 noatmel_sha204a=1 (존재한다면) 옵션 추가하여 드라이버 초기화 자체를 비활성화.
3. 감시 스크립트 배포
   • systemd 타이머와 bash/python 스크립트를 이용해 dmesg | grep atmel-sha204a 를 1분 주기로 검사하고, 감지 시 자동으로 rmmod 수행.

• 구현 난이도: ★★☆ (시스템 파라미터와 스크립트 배포)
• 운영 영향: 메모리 정책 변경은 전체 시스템에 영향을 미칠 수 있으나 대부분 서비스에 큰 변화는 없습니다.
• 검증 방법: sysctl vm.overcommit_memory 확인, 감시 로그에 알림 발생 여부 점검.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00117 · exploit=hard · in_scope=None